Perplexity پلتفرم SPACE (مخفف Sandboxed Platform for Agentic Code Execution) را با مجوز Apache 2.0 روی GitHub منتشر کرد. SPACE همان لایه‌ی ایزولاسیونی است که تمام تسک‌های Perplexity Computer روی آن اجرا می‌شود؛ یعنی ۱۰۰٪ sessions محصول Computer از این sandbox عبور می‌کنند.

در SPACE هر تسک ایجنت در یک Firecracker microVM مستقل با kernel میهمان اختصاصی اجرا می‌شود. اعتبارنامه‌ها و ترافیک خروجی از بیرون VM کنترل می‌شوند و هرگز وارد guest نمی‌شوند. کد به زبان Rust نوشته شده و نسخه‌ی 0.8.0 به‌عنوان baseline عمومی منتشر شده است. رابط برنامه‌نویسی از طریق HTTP API و server-sent events کار می‌کند.

عملکرد و محدودیت‌ها#

در محیط تولید، میانه‌ی تأخیر ساخت sandbox از ۱۸۵ میلی‌ثانیه به ۶۰ میلی‌ثانیه و صدک نودم از ۴۴۷ میلی‌ثانیه به ۸۹ میلی‌ثانیه کاهش یافته است. sandboxها پس از ۶ ساعت بی‌کاری به حالت suspended می‌روند (snapshot کامل حافظه و filesystem). برای اجرای SPACE به یک host لینوکسی با معماری x86_64، KVM، /dev/kvm، btrfs و Docker نیاز است. macOS پشتیبانی نمی‌شود.

نتایج تست قرمز#

گزارش «Escaping SPACE: Part I» با ۹ مدل پیشرفته و ۲۱۶ اجرا روی ۲ تسک و ۴ سناریو تست شد:

  • فرار از VM به host: ۰ از ۱۰۸ تلاش موفق
  • دور زدن policy شبکه بدون اتصال: ۰ از ۵۴
  • دور زدن policy در حالت partial-network: ۱۱ از ۵۴ قبل از اصلاحات موفق شد (مدل‌های Claude Opus 5.0، GPT-5.6 Sol، GPT-5.6 Cyber و Kimi K3 مسیر فرار یافتند). پس از افزودن اعتبارسنجی source-address با nftables و بررسی SNI و HTTP host در gateway، در تست مجدد هیچ مدل موفق نشد.

مقایسه با سایر sandboxهای متن‌باز#

در جدول مقایسه‌ی Perplexity، SPACE در کنار E2B، microsandbox و Daytona قرار گرفته است. E2B نیز از Firecracker استفاده می‌کند اما در تست‌های Perplexity یک bypass HTTPS در آن یافت شد. microsandbox از libkrun بهره می‌برد و در آن bypass HTTP و HTTPS گزارش شده که اصلاح در نسخه‌ی 0.6.18 انجام شده است. Daytona از June 2026 نگهداری نمی‌شود.

تیم‌هایی که از E2B استفاده می‌کنند می‌توانند با E2B Compatibility Wrapper (baseline: e2b==2.21.1) به SPACE مهاجرت کنند.

خوانش تحریریه#

آنچه SPACE را از دیگر sandboxهای متن‌باز متمایز می‌کند، نه خودِ Firecracker (که E2B هم دارد) بلکه لایه‌ی egress است: TLS termination در gateway، بررسی هم‌زمان SNI و HTTP host، و اعتبارسنجی source-address. این دقیقاً همان بخشی است که در تست‌های Perplexity، ۸ از ۱۰ پلتفرم شخص ثالث در آن شکست خوردند. برای کسی که ایجنت‌های browsing یا coding می‌سازد، مشکل اصلی فرار از VM نیست — مشکل اصلی این است که ایجنت از طریق DNS spoofing یا CDNهای مشترک به سرویس‌های خارج از allowlist دسترسی پیدا کند. SPACE این مسئله را حل‌شده و production-tested ارائه می‌دهد.

اما احتیاط لازم است: نسخه‌ی 0.8.0 baseline عمومی است، نه لزوماً آخرین نسخه‌ی داخلی Perplexity. همچنین نیاز به KVM و لینوکس x86_64 یعنی نمی‌توان آن را روی macOS یا cloud‌های محدود به nested virtualization اجرا کرد. اگر تیمی می‌خواهد sandbox متن‌باز self-host کند، SPACE الان جدی‌ترین گزینه‌ی موجود است — به شرطی که زیرساخت لینوکسی لازم را داشته باشد.

منبع: MarkTechPost